Была похожая ситуация на логон1 х5.
Товарищ воспользовался патчем для макроса, любезно предоставленным ему злоумышленником.
Никаких патчей/аддонов не устанавливали? Возможно скачивали с "проверенных" источников уже зараженный аддон/патч?